Уклонити лозинку кључа или је задржати? Копија коју стварате
Нешифрована датотека кључа чува исту тајну уз слабију заштиту. Упоредите ризик у мировању пре претварања и знајте шта оно не поништава.
Шифровани приватни кључ и нешифровани држе исти кључни материјал. Претварање не ствара нови идентитет, не ресетује VPN налог и не поништава стару датотеку. Оно уписује другу копију, а та копија носи другачији ризик у мировању.
Да ли се замена исплати зависи од тога где ће датотека живети и ко је може читати.
Шта претварање заиста мења
Пре претварања кључ је заштићен лозинком коју даје оператер. После претварања заштићен је дозволама датотечног система и било којом контролом приступа око датотеке. Криптографија се није променила; променио се број ствари између нападача и кључа. То је цело поређење.
Табела разлику чини конкретном.
| Form | What protects it | How it fails |
|---|---|---|
| Encrypted key | A passphrase plus file access | Weak passphrase, or an offline attack on the file |
| Unencrypted key | File permissions and host security only | Any reader copies it silently |
Ниједан облик није аутоматски безбеднији. Они падају на различите начине, а само један од тих начина оставља запис у дневнику.
Када је боље задржати лозинку
Ако подржани клијент може да затражи лозинку или је преузме из одобреног складишта тајни, претварање ништа не купује. Задржавате једну копију, једну границу заштите и једну датотеку мање за праћење. Већина VPN клијената који прихватају PEM кључеве то може.
Претварање је такође погрешан потез када тим дели кључ. Нешифрована датотека на дељеном хосту постаје акредитив који свако са приступом љусци може копирати.
Када је нешифрована копија оправдана
Неке услуге не могу да траже, неки контејнери монтирају тајне само за читање, а неки уређаји читају датотеку кључа при подизању без интерактивне путање. У тим случајевима нешифровани кључ унутар правилно ограниченог директоријума може бити подржани дизајн. Оправдање је окружење, а не удобност.
Ако не можете да кажете ко може читати датотеку и зашто, одговор је не.
Команда и њене оштре ивице
За кључ заснован на датотеци који подржава OpenSSL 3.5, референца pkey документује уклањање лозинке и интерактивни упит када је улаз шифрован и није наведен извор лозинке. Минимални облик је кратак и лако га је покренути непажљиво.
umask 077
openssl pkey -in protected-key.pem -out new-private-key.pemТри оштре ивице. Улазно-излазне операције излазне датотеке нису атомичне, па постојећа излазна путања може бити одсечена на средини уписа. Не користите улазну путању као излаз и не експериментишите на јединој заштићеној копији. Унесите лозинку на упиту, а не на командној линији, где завршава у историји љуске.
Проверите резултат пре промене било које VPN конфигурације: openssl pkey -in new-private-key.pem -pubout треба да испише исти јавни кључ који сте имали пре.
Шта претварање не ради
Оно не опозива шифровану копију, која још постоји где год сте је оставили. Оно не мења лозинку VPN налога ни цертификат. И не поправља излагање које се већ догодило. Ако је кључ процурио, решење је замена и повлачење на страни сервера, а не локална промена формата.
Намерно обришите међудатотеку и потврдите да је путања коју бришете она коју сте створили.